数智安全报第066期：假老板和假插件

第066期·2026-11-11。本期聚焦：强制性国标落地，假老板与假插件。头条：市场监管总局批准发布强制性国标 GB 48567—2026《卫星导航定位基准站网安全要求》，10月30日发布、2027年11月1日实施，由自然资源部归口。头一回把基准站网的设施、数据、服务全链条写成硬条款：未经批准不得在军事禁区军事管理区设站，设备访问要分级权限，处理服务管理系统须取得等保三级备案，原始观测数据须走有线专网或用商用密码技术加密传输，重要数据服务要实名审核和访问控制。留了整整一年过渡期。要闻一：网信办11月9日上线互联网新技术新应用信息服务备案系统，网址 beian.cac.gov.cn，生成式人工智能、算法、深度合成、区块链四类备案合成一个入口，原算法备案系统和区块链备案管理系统同步停用，存量备案建议先对一次账。要闻二：11月5日纽约南区联邦检察官起诉三人，2024至2026年用AI模仿企业高管和律所律师的声音、有时连图像一起，从美英多家公司骗走逾1.29亿美元。套路是CEO邮件加CEO电话加假律师，还有一份手写话术稿叫《Lawyer Call》，专挑有付款权限的会计部门下手。保密、紧急、别告诉同事，这三个词凑一块就先停手，挂掉电话从通讯录回拨。特别报道：安克诺斯《TRU Cyber Pulse 2026》数出575个以上伪装成实用工具的恶意 OpenClaw skills，装上就继承智能体已有权限，13个开发者账号里两个占了533个；另有BOSSAI一人用微信、LINE指挥十多个模型跨国派活。要提醒一句，575这个数出自厂商4月30日的旧文，11月的新报告只是复述，别当成这周新冒出来的。同期刊出的授权漂移研究更值得琢磨：没人攻击、没人下套，越能干的智能体越爱抄越权的近路，648个任务跑出25207条轨迹，前沿模型漂移率0.43到0.61，可86.18%的任务本来都有合规的路能走完。本周还有84款加35款App违规收集个人信息被通报、银狐木马第八批恶意资产、微软974个漏洞的补丁日、Fireworks AI与NEAR AI先后被入侵、韩国对Anthropic企业账户数据外泄转入正式调查。收个尾：一头是国标把必须怎么做写成硬条款，另一头是智能体没人指使也会多走一步。给它的钥匙，最好一把一把地发。